Vos salariés utilisent déjà ChatGPT : comment encadrer l’IA dans votre PME ?

Un commercial colle un compte rendu client dans ChatGPT pour préparer son mail de suivi. Une responsable RH fait reformuler une offre d’emploi. À la direction, on teste un assistant pour résumer un contrat de vingt pages.

Personne n’a lancé de « projet IA ». Pourtant, l’entreprise utilise déjà trois systèmes d’intelligence artificielle, avec trois comptes différents et probablement trois façons de traiter les données.

C’est souvent ainsi que l’IA entre dans une PME. Elle ne passe ni par un comité de pilotage ni par une ligne budgétaire. Elle arrive par un onglet de navigateur, parce qu’un salarié cherche à gagner vingt minutes sur une tâche pénible. L’intention est bonne. Le flou autour de l’usage l’est beaucoup moins.

Le décalage se retrouve dans les chiffres. Dans son étude menée auprès de plus de 1 200 dirigeants, Bpifrance Le Lab indique que 58 % considèrent l’IA comme importante, voire très importante, pour la pérennité de leur entreprise à trois ou cinq ans. Pourtant, seules 26 % des PME et ETI interrogées utilisent une IA générative. Parmi les entreprises qui ont franchi le pas, la moitié s’appuie uniquement sur des solutions gratuites ou prêtes à l’emploi. Le partage possible de données confidentielles fait partie des principaux mauvais usages redoutés par les dirigeants.

Le vrai sujet n’est donc plus de savoir si vos équipes vont utiliser l’IA. Il est de décider comment elles peuvent le faire sans exposer l’entreprise, ses clients ou leur propre travail.

L’interdiction totale donne surtout une fausse impression de contrôle

Bloquer ChatGPT sur le réseau de l’entreprise peut sembler prudent. Cela ne supprime ni le besoin ni l’usage. Un salarié peut ouvrir un autre service, utiliser son téléphone personnel ou travailler depuis chez lui. L’outil disparaît des écrans surveillés, pas des habitudes. On parle alors de « shadow AI », sur le même principe que le shadow IT : des outils professionnels utilisés sans validation ni visibilité pour l’entreprise.

Cette situation est souvent plus risquée qu’un usage autorisé. La direction ne sait pas quels services reçoivent des informations internes, les collaborateurs ne savent pas où se situe la limite et chacun invente sa propre règle. Certains ne transmettront jamais un nom de client. D’autres déposeront un contrat complet, simplement parce que le service promet de le résumer en dix secondes.

Encadrer ne signifie pas tout autoriser. Cela consiste à créer un chemin praticable : quelques outils approuvés, des cas d’usage compréhensibles et des interdits qui correspondent à la réalité du métier. Une règle suivie vaut mieux qu’une interdiction théorique.

AI Act : ce qui a réellement changé en août 2026

Depuis le 2 août 2026, le règlement européen sur l’intelligence artificielle, plus connu sous le nom d’AI Act, est entré dans une nouvelle phase. Les autorités européennes et nationales ont commencé à assurer sa supervision et plusieurs obligations de transparence sont devenues applicables. La CNIL tient à jour le calendrier français du règlement, notamment après la révision de juillet 2026.

Cela ne signifie pas que chaque PME doit constituer un dossier de conformité de cent pages, ni ajouter la mention « écrit par ChatGPT » sous chaque email.

Une entreprise qui utilise un système d’IA dans un cadre professionnel est généralement considérée comme un « déployeur » par le règlement. Ses obligations dépendent ensuite de l’usage et du niveau de risque.

Pour une PME qui utilise une IA générative classique, trois points méritent surtout l’attention :

1. L’entreprise doit prendre des mesures pour développer les compétences de ses équipes en matière d’IA. Cette obligation de sensibilisation, appelée « littératie IA », s’applique depuis février 2025. Le texte n’impose pas à chaque salarié d’atteindre un niveau ou de décrocher une certification. La formation doit être adaptée aux personnes, au contexte et aux risques réels de l’usage. La Commission européenne précise ce qu’elle attend des entreprises, avec un soutien renforcé prévu pour les PME.
2. La transparence est obligatoire dans certaines situations précises, par exemple lorsqu’un client échange avec un agent conversationnel sans que cela soit évident, ou pour certains contenus artificiels susceptibles de tromper. En revanche, un texte assisté par IA puis relu sous la responsabilité éditoriale de l’entreprise n’a pas automatiquement à être étiqueté. L’article 50 et ses exceptions permettent de distinguer ces situations.
3. Les usages sensibles doivent être repérés tôt. Un outil utilisé pour recruter, évaluer des salariés, accorder un crédit ou prendre une décision qui affecte fortement une personne ne se traite pas comme un assistant de reformulation. Les principales règles relatives aux systèmes à haut risque dans l’emploi s’appliqueront à partir du 2 décembre 2027, à la suite du calendrier révisé en juillet 2026. Pour ce type de projet, le cadrage technique doit être complété par une analyse juridique et de protection des données.

Une charte IA n’est pas, en tant que telle, un document expressément imposé à toutes les entreprises. Elle reste néanmoins l’un des moyens les plus simples de rendre les règles compréhensibles, d’accompagner les salariés et de matérialiser les mesures prises.

À condition qu’elle soit lue, ce qui exclut généralement le PDF juridique de trente pages déposé au fond de l’intranet.

Une charte utile tient d’abord dans des situations concrètes

Une bonne charte ne commence pas par une définition savante de l’intelligence artificielle. Elle répond aux questions qu’un salarié se pose au moment d’utiliser l’outil : « Puis-je coller ce document ? », « Qui doit vérifier la réponse ? », « Quel compte dois-je utiliser ? ».

Elle doit au minimum préciser :

• les outils et les types de comptes autorisés ;
• les usages permis, tolérés sous conditions ou interdits ;
• les données qui ne doivent jamais être transmises sans validation ;
• la responsabilité de la personne qui utilise et diffuse le résultat ;
• les règles de relecture, de vérification des sources et de transparence ;
• la personne à contacter en cas de doute ou d’incident.

Trois phrases peuvent déjà servir de garde-fou : n’entrez pas dans un outil non validé ce que vous n’enverriez pas à un prestataire inconnu ; l’IA propose, l’humain vérifie et assume ; utilisez le compte professionnel et la solution approuvée par l’entreprise.

Ce cadre doit aussi laisser une porte ouverte. Si une équipe découvre un outil plus efficace, elle doit savoir comment le faire évaluer. Sans cela, la liste officielle vieillira en quelques mois et les usages cachés reviendront.

Dans une PME française, le sujet ne relève pas uniquement de l’informatique. Dès qu’un usage touche aux données personnelles, aux pratiques RH ou à l’organisation du travail, il est raisonnable d’associer le DPO ou le référent données, les ressources humaines et, selon la situation, le CSE. Mieux vaut repérer en amont un changement qui affecte le travail des équipes que tenter de le justifier après son déploiement.

Le feu tricolore, plus parlant qu’une liste de cinquante interdictions

Dans une petite structure, un classement en trois zones fonctionne généralement mieux qu’un règlement compliqué.

La zone rouge ne veut pas forcément dire « impossible pour toujours ». Une analyse de documents confidentiels peut devenir envisageable dans une architecture conçue pour cela, avec un contrat adapté, des accès maîtrisés et une politique de conservation claire. Elle ne doit simplement pas être improvisée dans un compte personnel gratuit.

Un abonnement payant ne sécurise pas magiquement les usages

Le logo sur l’écran et la qualité des réponses ne suffisent pas pour choisir une solution. Il faut regarder le service comme n’importe quel fournisseur qui reçoit des informations de l’entreprise. La CNIL et France Num proposent d’ailleurs des fiches pratiques destinées aux TPE et PME, du choix de la solution aux précautions à prendre.

Les questions vraiment utiles sont assez terre à terre. Les données saisies servent-elles à entraîner le modèle ? Pendant combien de temps les conversations sont-elles conservées ? Peut-on supprimer un compte et ses données lorsqu’un salarié part ? L’administrateur peut-il imposer une authentification multifacteur, gérer les droits et désactiver des connecteurs ? Le fournisseur propose-t-il un accord de traitement des données compatible avec vos obligations ? Où les données sont-elles traitées et quels sous-traitants interviennent ?

Une offre professionnelle apporte souvent davantage de contrôles qu’un compte grand public, mais le mot « Business » ou « Enterprise » ne dispense pas de lire les conditions. Le bon choix dépend aussi de votre environnement. Une entreprise déjà équipée d’une suite collaborative, une agence qui manipule surtout du contenu public et un cabinet qui traite des données sensibles n’auront pas la même réponse.

C’est ici que le sujet cesse d’être un simple comparatif entre ChatGPT, Copilot, Gemini ou Le Chat. Il devient un choix de système d’information.

Si je devais reprendre le sujet lundi matin dans une PME

Je ne commencerais ni par acheter cinquante licences ni par rédiger une charte. Je demanderais d’abord aux équipes ce qu’elles font déjà. Sans chercher un coupable, mais avec des exemples : quels outils utilisez-vous, pour quelles tâches, avec quelles données et quel résultat ? Une heure avec les métiers fait souvent apparaître plus d’usages qu’un questionnaire envoyé par la direction.

À partir de cet inventaire, je choisirais deux ou trois cas utiles et peu risqués. Par exemple, préparer le compte rendu d’une réunion interne, structurer une première trame commerciale ou retrouver une information dans une documentation non sensible. Ce sont des terrains suffisants pour apprendre sans commencer par le recrutement, les données de santé ou les décisions financières.

Ensuite seulement viennent le choix de l’outil, la charte courte et la formation. Une séance de 60 à 90 minutes fondée sur de vrais documents de l’entreprise est plus utile qu’une présentation abstraite. Il faut montrer une bonne réponse, mais aussi une réponse fausse et très convaincante. C’est généralement à ce moment-là que la nécessité d’une relecture humaine devient évidente.

Enfin, je mesurerais le résultat. Combien de temps fallait-il avant ? Combien de corrections sont nécessaires ? La qualité est-elle réellement meilleure ? De nouvelles erreurs apparaissent-elles ? Si personne ne peut répondre à ces questions, l’entreprise finance peut-être une démonstration impressionnante, pas un gain de productivité.

Le meilleur cas d’usage est rarement le plus spectaculaire

Les dirigeants interrogés par Bpifrance cherchent d’abord à optimiser l’existant, améliorer les performances et réduire les coûts. C’est assez logique. Dans une PME, le bon premier projet n’est pas nécessairement un agent autonome qui pilote toute la relation client.

Cela peut être un enchaînement bien plus modeste : transformer les notes d’un rendez-vous en compte rendu structuré, proposer les tâches à créer dans le CRM et préparer un brouillon de relance.

Ce cas d’usage a l’avantage d’être mesurable. Il touche une tâche fréquente, le salarié garde la main avant l’envoi et le résultat peut être comparé à la méthode précédente. Il oblige aussi à traiter les vraies questions : où se trouve la donnée client, quelles informations sont transmises au modèle, qui valide et que conserve-t-on ?

C’est moins spectaculaire qu’une vidéo d’agent autonome sur LinkedIn. C’est aussi beaucoup plus proche d’un retour sur investissement.

Les questions que les dirigeants se posent le plus souvent

Faut-il une charte IA dans toutes les PME ?

Le règlement européen n’impose pas un document portant ce nom à chaque entreprise. Dès que plusieurs personnes utilisent des outils d’IA, une règle écrite devient toutefois préférable à des consignes orales différentes selon les services. Elle peut prendre la forme d’une charte indépendante ou d’un ajout à la charte informatique existante.

Faut-il signaler chaque contenu créé avec ChatGPT ?

Non. Les obligations de transparence concernent des cas définis, notamment certaines interactions avec une IA, les hypertrucages et certains contenus publiés dans un but d’information du public. L’intervention d’une relecture humaine et la responsabilité éditoriale comptent.

Une PME n’a donc pas à apposer une étiquette sur chaque email reformulé, mais elle doit analyser ses usages publics au lieu d’appliquer une réponse unique.

Peut-on transmettre des données personnelles à une IA ?

Ce n’est pas automatiquement interdit, mais ce n’est jamais anodin. Il faut disposer d’une base légale, informer les personnes lorsque cela est nécessaire, limiter les données, vérifier le contrat avec le fournisseur et sécuriser le traitement.

La FAQ de la CNIL consacrée aux IA génératives rappelle aussi qu’une réponse plausible peut être inexacte. Dans le doute, l’utilisation de données fictives ou réellement anonymisées reste le bon réflexe pour une expérimentation.

Une version professionnelle de ChatGPT suffit-elle ?

Elle peut résoudre une partie des problèmes de gestion et de confidentialité, selon l’offre et sa configuration. Elle ne remplace ni les règles internes, ni la formation, ni la vérification humaine. Elle ne répond pas non plus à la question la plus importante : cet outil est-il adapté à la tâche et aux données concernées ?

Chez Vezerance, nous accompagnons les PME pour cartographier leurs usages, choisir les solutions adaptées et transformer les cas réellement utiles en outils ou automatisations sécurisés. L’objectif n’est pas de mettre de l’IA partout. Il est de savoir où elle apporte de la valeur, avec quelles données et sous quelle responsabilité.

Si le sujet existe déjà dans votre entreprise, parlons-en à partir de vos usages réels.

Dans beaucoup d’entreprises, le premier livrable raisonnable n’est donc pas un agent intelligent. C’est une carte claire des usages, quelques règles comprises de tous et un premier projet dont on peut mesurer le résultat. Après cela, on peut accélérer sans travailler à l’aveugle.